AS 2007 3401
Ordonnance concernant la protection des informations de la Confédération
Ordonnance concernant la protection des informations de la Confédération (Ordonnance concernant la protection des informations, OPI)
du 4 juillet 2007
Le Conseil fédéral, vu les art. 8, al. 1, et 43, al. 2, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)1, vu l’art. 150, al. 3, de la loi fédérale du 3 février 1995 sur l’armée et l’administration militaire (LAAM)2, arrête:
Section 1 Dispositions générales
Art. 1 Objet 1 La présente ordonnance règle la protection des informations de la Confédération et de l’armée, dans la mesure où elle est nécessaire dans l’intérêt du pays. Elle fixe notamment la classification et le traitement de ces informations.
2 Les prescriptions régies par des lois spéciales sont réservées.
Art. 2 Champ d’application La présente ordonnance s’applique: a. à l’administration fédérale au sens de l’art. 6 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’adminis- tration3; b. aux militaires; c. aux organisations et aux personnes de droit public et de droit privé qui trai- tent des informations classifiées, pour autant que cela soit prévu par le droit fédéral ou qu’il en ait été convenu ainsi; d. aux tribunaux fédéraux et cantonaux qui traitent des informations classifiées, pour autant que cela soit prévu par le droit fédéral.
RS 510.411
2007-0574 3401
Ordonnance concernant la protection des informations RO 2007
Art. 3 Définition Au sens de la présente ordonnance, on entend par: a. information: l’enregistrement sur des supports d’information et la communication orale; b. support d’information: document ou autre support de textes, d’images, de son et d’autres données; le matériel intermédiaire, notamment les brouillons, est également considéré comme un support d’information; c. traiter: toute action en rapport avec des informations, indépendamment des moyens et des procédures utilisés, notamment l’établissement, l’utilisation, le traite- ment, la copie, le fait de rendre accessible, la communication, la transmis- sion, la prise de connaissance, la conservation, l’archivage et la destruction; d. auteur: personne, unité administrative, poste de commandement ou mandataire qui établit des informations classifiées; e. dépositaire de secret: personne à laquelle des informations classifiées ont été confiées; f. classifier: le fait d’évaluer une information concrète conformément au catalogue de classifications (art. 8) et de l’identifier formellement au moyen d’une men- tion de classification; g. déclassifier: le fait d’annuler la mention de classification après la disparition de l’intérêt à maintenir la protection; h. système informatique et de télécommunications: système et applications et fichiers de données disponibles sur ceux-ci; i. sécurité informatique: la sécurité informatique garantit la confidentialité, la disponibilité, l’intégrité et la compréhension lors du traitement électronique des informations; j. codage: utilisation de transcriptions ou de pseudonymes; k. chiffrement: déformation technique du texte en clair d’un niveau de qualité correspondant à l’état de la technique.
3402
Ordonnance concernant la protection des informations RO 2007
Section 2 Classification
Art. 4 Echelons de classification 1 Quiconque rédige ou publie des informations dignes de protection doit leur attri- buer les échelons de classification suivants en fonction du degré de protection re- quis: a. SECRET; b. CONFIDENTIEL; c. INTERNE. 2 Si des supports d’informations sont regroupés physiquement dans un recueil, il faut contrôler si celui-ci doit être classifié ou recevoir un échelon de classification supé- rieur.
Art. 5 Informations classifiées «SECRET» 1 Sont classifiées «SECRET» les informations dont la prise de connaissance par des personnes non autorisées peut porter un grave préjudice aux intérêts du pays. Il s’agit notamment d’informations dont la divulgation peut: a. compromettre gravement la liberté d’action de l’Assemblée fédérale ou du Conseil fédéral; b. compromettre gravement la sécurité de la population; c. compromettre gravement l’approvisionnement économique du pays ou la sécurité d’installations de conduite et d’infrastructures d’intérêt national; d. compromettre gravement l’accomplissement de la mission de l’adminis- tration fédérale, de l’armée ou de parties essentielles de celle-ci; e. compromettre gravement les intérêts en matière de politique extérieure ou les relations internationales de la Suisse; f. compromettre gravement soit la protection des sources ou des personnes, soit le maintien du secret quant aux moyens et aux méthodes opératifs des services de renseignements.
2 Les supports d’informations classifiées «SECRET» doivent être numérotés.
Art. 6 Informations classifiées «CONFIDENTIEL»
1 Sont classifiées «CONFIDENTIEL» les informations dont la prise de connaissance
par des personnes non autorisées peut porter préjudice aux intérêts du pays. Il s’agit notamment d’informations dont la divulgation peut: a. porter atteinte à la libre formation de l’opinion et de la volonté de l’Assemblée fédérale ou du Conseil fédéral; b. porter atteinte à la mise en œuvre conforme de mesures concrètes décidées par une autorité;
3403
Ordonnance concernant la protection des informations RO 2007
c. porter atteinte à la sécurité de la population; d. porter atteinte à l’approvisionnement économique du pays ou à la sécurité d’infrastructures importantes; e. porter atteinte à l’accomplissement de la mission de parties de l’adminis- tration fédérale ou de l’armée; f. porter atteinte aux intérêts de la Suisse en matière de politique de sécurité ou aux relations internationales de la Suisse; g. porter atteinte aux relations entre la Confédération et les cantons ou aux rela- tions entre les cantons; h. porter atteinte aux intérêts de la Suisse en matière économique, monétaire et de politique monétaire.
2 Les supports d’informations classifiées «CONFIDENTIEL» peuvent être numéro-
tés.
Art. 7 Informations classifiées «INTERNE»
1 Sont classifiées «INTERNE»:
a. les informations qui sont soumises au secret de fonction, professionnel, commercial ou de fabrication et qui requièrent un degré de protection plus élevé sans devoir être classifiées ni «SECRET» ni «CONFIDENTIEL»; b. les informations de l’armée soumises au secret de service.
2 Les informations classifiées «RESTRICTED» ou de degré équivalent et qui
proviennent de l’étranger sont traitées comme des informations classifiées «INTERNE».
Art. 8 Catalogue de classifications L’organe de coordination pour la protection des informations au sein de la Confédé- ration (art. 20) précise dans un catalogue de classifications comment certaines in- formations de la Confédération fréquemment soumises à la protection doivent être classifiées.
Art. 9 Classification limitée dans le temps La classification doit être limitée dans le temps s’il est probable que l’intérêt à maintenir la protection vienne à disparaître.
Section 3 Dépositaires de secret
Art. 10 Exigences 1 Les personnes qui peuvent avoir accès à des informations classifiées en raison de leur domaine d’activité doivent:
3404
Ordonnance concernant la protection des informations RO 2007
a. être soigneusement sélectionnées; b. être tenues à respecter le secret; et c. être formées et bénéficier d’une formation continue en conséquence. 2 L’ordonnance du 19 décembre 2001 sur les contrôles de sécurité relatifs aux per- sonnes4 détermine si les dépositaires de secret qui obtiennent l’accès à des informa- tions classifiées «SECRET» ou «CONFIDENTIEL» doivent se soumettre à un contrôle de sécurité relatif aux personnes.
Art. 11 Formation et formation continue Les connaissances techniques des dépositaires de secret dans le domaine de la pro- tection des informations et de la sécurité informatique doivent être garanties et actualisées périodiquement.
Art. 12 Responsabilité 1 Quiconque traite des informations classifiées est responsable du respect des pres- criptions en matière de protection des informations.
2 Les supérieurs contrôlent régulièrement le respect de ces prescriptions.
Section 4 Traitement des informations classifiées
Art. 13 Principes 1 L’établissement d’informations classifiées, leur communication et le fait de les rendre accessibles doivent être limités à un strict minimum; à cet égard, la situation, la mission, l’objectif et le temps doivent être pris en considération. 2 Il n’est permis de communiquer ou de rendre accessibles des informations classi- fiées qu’aux personnes qui doivent en avoir connaissance. 3 En cas de demande d’accès à des documents officiels, l’instance compétente exa- mine, indépendamment de l’éventuelle mention de classification, s’il y a lieu d’auto- riser, de limiter, de différer ou de refuser l’accès conformément aux dispositions de la loi fédérale du 17 décembre 2004 sur le principe de la transparence dans l’admi- nistration5.
4 Le traitement d’informations classifiées provenant de l’étranger est régi par
l’accord portant sur la protection des informations qui s’y rapporte. S’il n’existe aucun accord de ce type, le traitement est régi par les prescriptions de traitement applicables à l’échelon de classification suisse équivalent à l’échelon de classifica- tion étranger.
4 RS 120.4 5 RS 152.3
3405
Ordonnance concernant la protection des informations RO 2007
Art. 14 Examen de l’intérêt à maintenir la protection et de la liste de distribution L’auteur d’une information classifiée «CONFIDENTIEL» et numérotée ou classi- fiée «SECRET» examine l’intérêt à maintenir sa protection et la liste de distribution au moins tous les cinq ans et toujours dans le cadre de l’obligation de proposer son transfert aux Archives fédérales.
Art. 15 Protection en cas de fausse classification ou d’absence de classification
1 Celui qui suppose ou constate que des informations n’ont manifestement pas été
classifiées par erreur ou qu’elles ont été classifiées de manière erronée est tenu de garantir leur protection jusqu’au changement de la classification.
2 Il en informe l’auteur sans délai. Ce dernier prend immédiatement les mesures
nécessaires.
Art. 16 Annonce en cas de perte, d’abus ou de mise en danger 1 Celui qui constate que des informations classifiées ont été compromises, ont dis- paru ou qu’il en a été fait un usage abusif prend des mesures de protection et en informe sans délai la personne supérieure, l’auteur et les organes de sécurité compé- tents. 2 L’auteur prend immédiatement les mesures requises, d’entente avec les organes de sécurité compétents.
Art. 17 Archivage L’archivage des informations classifiées est régi par les dispositions de la législation fédérale relative à l’archivage.
Art. 18 Prescriptions de traitement 1 Le traitement des informations classifiées et la manipulation des supports d’infor- mations correspondants sont réglés dans l’annexe. 2 L’organe de coordination pour la protection des informations au sein de la Confé- dération (art. 20) établit des directives de traitement détaillées. 3 Il règle la manipulation facilitée dans le domaine des informations des services du renseignement et de la police en fonction de leurs besoins et en garantissant une protection des informations suffisante, conformément à la présente ordonnance.
3406
Ordonnance concernant la protection des informations RO 2007
Section 5 Organes de sécurité
Art. 19 Préposés à la protection des informations
1 Les départements et la Chancellerie fédérale désignent chacun un préposé à la
protection des informations. 2 Les préposés à la protection des informations garantissent en particulier les tâches suivantes: a. ils veillent à la mise en œuvre de la protection des informations dans leur domaine de compétence; b. ils contrôlent périodiquement la disponibilité et l’intégralité des supports d’informations classifiées «SECRET».
Art. 20 Organe de coordination pour la protection des informations au sein de la Confédération 1 La Protection des informations et des objets du Département fédéral de la défense, de la protection de la population et des sports exploite l’organe de coordination pour la protection des informations au sein de la Confédération (organe de coordination). 2 D’entente avec les départements et la Chancellerie fédérale, l’organe de coordina- tion se dote d’un règlement interne qui fixe les détails de son organisation et de son activité. 3 En collaboration avec les préposés à la protection des informations des départe- ments et de la Chancellerie fédérale, l’organe de coordination assure notamment les tâches suivantes: a. il établit les directives techniques nécessaires, en particulier le catalogue de classifications (art. 8) et les prescriptions de traitement détaillées (art. 18); b. il fixe les directives relatives à la formation des dépositaires de secret et éta- blit les moyens auxiliaires de formations requis; c. il peut procéder à des contrôles et aux inspections de sécurité prévues dans les conventions de droit international; d. il est l’instance de contact dans les rapports nationaux et internationaux; e. il adresse chaque année un rapport à la Délégation du Conseil fédéral pour la sécurité.
Section 6 Dispositions finales
Art. 21 Exécution Les départements et la Chancellerie fédérale se chargent d’exécuter la présente ordonnance.
3407
Ordonnance concernant la protection des informations RO 2007
Art. 22 Abrogation et modification du droit en vigueur
1 Sont abrogées:
a. l’ordonnance du 10 décembre 1990 sur la classification et le traitement d’informations de l’administration civile6; b. l’ordonnance du 1er mai 1990 concernant la protection des informations7.
2 L’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration
fédérale8 est modifiée comme suit: Art. 16, al. 2, let. h
2 Les membres du C-SI ayant voix consultative sont les représentants:
h. de l’organe de coordination pour la protection des informations au sein de la Confédération. Art. 17, al. 3bis 3bis Il coordonne son activité avec l’organe de coordination pour la protection des informations au sein de la Confédération.
Art. 23 Dispositions transitoires
1 La mention de classification «INTERNE» doit être apposée uniquement sur les
supports d’informations établis après l’entrée en vigueur de la présente ordonnance. 2 Les adaptations techniques pour la garantie de la protection d’informations, en particulier celles régissant leur classification et leur traitement, doivent être mises en œuvre d’ici au 31 décembre 2009.
Art. 24 Entrée en vigueur La présente ordonnance entre en vigueur le 1er août 2007 et a effet au plus tard jusqu’au 31 décembre 2011.
4 juillet 2007 Au nom du Conseil fédéral suisse: La présidente de la Confédération, Micheline Calmy-Rey La chancelière de la Confédération, Annemarie Huber-Hotz
6 RO 1991 44, 1999 2424 7 RO 1990 887, 1999 2424 8 RS 172.010.58
3408
Ordonnance concernant la protection des informations RO 2007
Annexe (art. 18, al. 1)9
Prescriptions de traitement SECRET CONFIDENTIEL INTERNE Responsable
Etablissement
Moyens Sous forme électronique: unique- Sous forme électronique: unique- Libre Auteur (sont réservées les réglementations ment avec les moyens autorisés par ment avec les moyens autorisés par convenues dans le cadre de l’organe de coordination l’organe de coordination l’exécution de l’O du 29 août 1990 (exception: armée) concernant la procédure à suivre lors de la passation de contrats dont le contenu est classifié du point de vue militaire10)
Mention de classification Mention SECRET sur chaque page Mention CONFIDENTIEL sur Mention INTERNE sur chaque page chaque page
Numérotation Impérative Facultative Aucune
Enregistrement Formulaires de l’organe de Liste de distribution Facultatif coordination
9 Cf. également les directives de traitement détaillées de l’organe de coordination (art. 18, al. 2). 10 RS 510.413
3409
Ordonnance concernant la protection des informations RO 2007
SECRET CONFIDENTIEL INTERNE Responsable
Sauvegarde et conservation
Sous forme électronique Uniquement avec les moyens Sous forme chiffrée, sur des Accessible uniquement aux Auteur et autorisés par l’organe de systèmes de poste de travail ou sur personnes autorisées dépositaire du coordination; sous forme chiffrée des supports de données amovibles secret sur des systèmes de poste de travail ou sur des supports de données amovibles Les clés doivent être conservées sous clef séparément des informations chiffrées
Physique Coffre-fort Conteneur de sécurité Accessible uniquement aux personnes autorisées
Transfert, envoi et réception
Téléphone, téléphone portable Chiffrement, mode de transmission Codé ou chiffré Codé ou réseau de la Auteur et déposi- protégé ou concept de sécurité Confédération taire du secret
Fax Chiffrement, mode de transmission Chiffrement, mode de transmission Autorisé protégé ou concept de sécurité protégé ou concept de sécurité
Courriel (ou annexes au courriel) Chiffré et traçable Chiffré Autorisé, protection nécessaire, p. ex. réseau de la Confédération
Transfert de données Chiffrement ou mode de trans- Chiffrement ou mode de trans- Autorisé, protection mission protégé mission protégé nécessaire, p. ex. réseau de la Confédération
Déclarations orales Uniquement à l’intention de personnes autorisées, dans des lieux protégés contre les écoutes.
3410
Ordonnance concernant la protection des informations RO 2007
SECRET CONFIDENTIEL INTERNE Responsable
Transfert, envoi et réception
Remise personnelle Autorisée uniquement contre Autorisée uniquement contre Autorisée Auteur et remise d’une quittance remise d’une quittance pour les dépositaire du exemplaires numérotés secret
Poste, courrier Limité et uniquement avec le Autorisé de manière limitée, en Autorisé de manière limitée courrier spécial de la recommandé pour les exemplaires Confédération numérotés
Utilisation
Traitement avec des moyens Uniquement avec les moyens Uniquement avec les moyens Autorisé Auteur et informatiques autorisés par l’organe de autorisés par l’organe de dépositaire du (sous réserve des réglementations coordination et en se servant des coordination (exception: armée) et secret convenues dans le cadre de la logiciels de sécurité conforme aux en utilisant les logiciels de sécurité procédure de sauvegarde du secret) normes de la Confédération conforme aux normes de la Confédération
Impression Autorisée de manière limitée Autorisée de manière limitée Autorisée
Copie Autorisée de manière limitée et Autorisée de manière limitée Autorisée uniquement avec l’accord de l’auteur
Prise en charge depuis un emplace- Autorisée de manière limitée Autorisée de manière limitée Autorisée ment durable
3411
Ordonnance concernant la protection des informations RO 2007
SECRET CONFIDENTIEL INTERNE Responsable
Administration des informations
Contrôle régulier de la classification Au moins tous les cinq ans et Uniquement pour les exemplaires Aucune Auteur et de la liste de distribution toujours dans le cadre de numérotés: au moins tous les cinq l’obligation de proposer le transfert ans et toujours dans le cadre de aux Archives fédérales (art. 14) l’obligation de proposer le transfert aux Archives fédérales (art. 14)
Consignes pour le retrait et Impératives Impératives pour les exemplaires Aucun Auteur ou obligation de restituer numérotés dépositaire du secret
Archivage Obligation de proposer le transfert conformément à la législation sur l’archivage (art. 17) Auteur ou dépositaire du secret
Destruction ou effacement (dans la Destruction uniquement par Autorisée de manière limitée pour Autorisée de manière limitée mesure où il n’existe aucune l’auteur et autorisée de manière les exemplaires numérotés, et obligation de remise en vertu de la limitée uniquement par l’auteur législation sur l’archivage)
3412